Single Reporting Platform

A Single Reporting Platform (SRP), a plataforma única de notificação, é o portal web através do qual os fabricantes enviam as notificações exigidas pelo Cyber Resilience Act (CRA): vulnerabilidades ativamente exploradas e incidentes graves que afetam os seus produtos. É gerida pela ENISA, a Agência da União Europeia para a Cibersegurança, ao abrigo do artigo 16.º do Regulamento (UE) 2024/2847. Foi lançada a 11 de setembro de 2026, o dia em que as obrigações de notificação do CRA começaram a aplicar-se.

O que se notifica e em que prazos

Os fabricantes notificam dois tipos de ocorrências: uma vulnerabilidade ativamente explorada num produto com elementos digitais e um incidente grave que afete a segurança de um produto desses. Ambos os conceitos estão definidos no regulamento. Cada um segue três passos:

Passo	Prazo	Aplica-se a
Alerta precoce	No prazo de 24 horas após tomar conhecimento	Ambos
Notificação	No prazo de 72 horas após tomar conhecimento	Ambos
Relatório final	No prazo de 14 dias após existir uma correção ou mitigação	Vulnerabilidades ativamente exploradas
Relatório final	No prazo de um mês após a notificação	Incidentes graves

Os prazos são fixados pelo artigo 14.º do CRA, não pelo portal, e as FAQ da SRP da ENISA repetem-nos. A obrigação abrange os produtos que já estão no mercado, e não apenas os colocados depois de o CRA se aplicar na totalidade. O artigo 14.º exige ainda que os fabricantes informem os utilizadores afetados, o que fazem eles próprios: a plataforma chega às autoridades, não aos clientes.

Quem recebe uma notificação

Um fabricante submete cada notificação uma única vez. Esta chega em simultâneo ao CSIRT designado como coordenador no Estado-Membro do estabelecimento principal do fabricante e à ENISA, salvo em circunstâncias particularmente excecionais. O coordenador reencaminha-a para os CSIRT dos outros Estados-Membros onde o produto está disponível. A ENISA publica a lista dos coordenadores designados na sua página da SRP.

Depois de uma vulnerabilidade notificada ser corrigida, a ENISA pode divulgá-la na base europeia de vulnerabilidades (EUVD), de acordo com o fabricante. A relação entre a EUVD e os IDs CVE é explicada na entrada CVE.

Como funciona o acesso

Os fabricantes atuam na plataforma através de Assigned Representatives (AR). Cada AR inicia sessão com uma conta pessoal EU Login com autenticação multifator. Um fabricante tem um Primary AR, que pode convidar até 20 Secondary AR, e estes podem submeter e atualizar as notificações do fabricante. Um fabricante com várias empresas no grupo coordena internamente quem notifica por cada entidade.

O que a plataforma ainda não faz

Em novembro de 2026, segundo as FAQ da SRP:

• Sem API. A primeira versão não disponibiliza interface de programação, por isso as notificações são introduzidas na interface web. A ENISA refere que uma API poderá ser considerada numa fase posterior e que as organizações podem automatizar os seus próprios fluxos internos de notificação.
• Ainda sem notificação voluntária. As notificações voluntárias ao abrigo do artigo 15.º, por exemplo de uma vulnerabilidade que não está a ser ativamente explorada, estão previstas para uma fase posterior. Por agora, a plataforma só aceita as notificações obrigatórias.

A ENISA chama à versão de lançamento a sua capacidade operacional inicial e prevê alargá-la. O anúncio de lançamento indica também que as obrigações de notificação dos administradores de software open source (open-source software stewards) se aplicam a partir de 11 de dezembro de 2027.

Preparar-se para notificar

As 24 horas começam quando toma conhecimento da exploração, por isso a maior parte do trabalho acontece antes de alguém iniciar sessão:

• Registe os seus Assigned Representatives antes de precisar deles, com um substituto noutro fuso horário.
• Combine antecipadamente quem decide que uma vulnerabilidade é considerada ativamente explorada, e com que rapidez.
• Mantenha, por versão, um registo dos componentes de cada produto, para conseguir indicar os produtos e versões afetados em poucas horas. Veja SBOM do momento do build e somos afetados por uma CVE?.
• Prepare o aviso aos utilizadores afetados, já que a plataforma não o envia.
• Guarde o texto submetido e os carimbos temporais nos seus próprios arquivos.

O CRACI prepara o conteúdo das notificações do CRA (alerta precoce, notificação e relatório final); uma pessoa do fabricante submete-as através da Single Reporting Platform.

Para o regulamento no seu conjunto, veja o que é o CRA, o guia do CRA e a entrada do glossário CRA. A forma como uma equipa de segurança de produto gere isto no dia a dia é explicada em PSIRT.